收集 Cloud Identity 裝置記錄

支援的國家/地區：

本文說明如何使用第三方 API 方法 (建議做法)，將 Cloud Identity 裝置記錄收集到 Google SecOps。剖析器會從 JSON 記錄中擷取欄位、轉換特定欄位 (例如 deviceType 和日期)，然後將這些欄位對應至 UDM，建立代表裝置的 asset_entity，並加入硬體和中繼資料資訊。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 服務帳戶的全網域委派設定。服務帳戶必須獲得下列範圍的授權：
    • https://www.googleapis.com/auth/cloud-identity.devices.readonly
  • 您的 Google Cloud 專案已啟用下列 API：
    • Cloud Identity API
    • Google Workspace Admin SDK
    • Alert Center API

建議：設定第三方 API 動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

  • 依序點選「SIEM Settings」>「Feeds」>「Add New Feed」
  • 依序點選「內容中心」「內容包」「開始使用」

如何設定 Google Cloud 身分識別裝置動態饋給

  1. 按一下「Google Cloud Compute platform」套件。
  2. 找到「身分裝置」Google Cloud 記錄類型，然後按一下「新增動態饋給」。
  3. 為下列欄位指定值：
    • 來源類型：選取「第三方 API」。
    • OAuth JWT 端點：輸入 OAuth 權杖端點：https://oauth2.googleapis.com/token
    • JWT 權杖簽發者：輸入服務帳戶的電子郵件地址 (位於服務帳戶的 JSON 金鑰檔案中)。
    • JWT 聲明主體：輸入在 Workspace 控制台中獲派「服務管理員」或「超級管理員」角色的使用者電子郵件地址 (透過全網域委派功能模擬的使用者)。
    • JWT 聲明目標對象：再次輸入端點：https://oauth2.googleapis.com/token
    • RSA 私密金鑰：從服務帳戶的 JSON 金鑰檔案中，貼上私密金鑰的完整內容 (包括 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY----- 行)。

進階選項

  • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
  • 資產命名空間：與動態饋給相關聯的命名空間。
  • 擷取標籤：套用至這個動態饋給所有事件的標籤。
  1. 點選「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

替代方法：透過 Cloud Storage 擷取

  1. 登入Google Cloud 控制台。

  2. 前往「Cloud Storage Buckets」(Cloud Storage bucket) 頁面。

    前往「Buckets」(值區) 頁面

  3. 點選「建立」。

  4. 在「建立 bucket」頁面中，輸入 bucket 資訊。完成下列每個步驟後，請按一下「繼續」前往下一個步驟：

    1. 在「開始使用」部分，執行下列操作：

      1. 輸入符合值區名稱規定的不重複名稱，例如 gcp-cloudidentity-devices-logs。

      2. 如要啟用階層命名空間，請按一下展開箭頭，展開「為檔案導向和資料密集型工作負載提供最理想的儲存空間」部分，然後選取「為這個值區啟用階層結構式命名空間」。

      3. 如要新增值區標籤，請按一下展開箭頭，展開「標籤」部分。

      4. 按一下「新增標籤」，然後指定標籤的鍵和值。

    2. 在「Choose where to store your data」(選擇資料的儲存位置) 部分，執行下列操作：

      1. 選取「位置類型」。

      2. 使用位置類型選單選取位置，永久儲存 bucket 中的物件資料。

      3. 如要設定跨 bucket 複製作業，請展開「設定跨 bucket 複製作業」部分。

    3. 在「為資料選擇儲存空間級別」部分，選取 bucket 的預設儲存空間級別，或選取「Autoclass」，讓系統自動管理 bucket 資料的儲存空間級別。

    4. 在「選取如何控制物件的存取權」部分，取消選取「強制禁止公開存取」，然後為 bucket 物件選取「存取權控管」模型。

    5. 在「選擇保護物件資料的方式」部分，執行下列操作：

      1. 選取「資料保護」下方的任何選項，為 bucket 設定資料保護措施。
      2. 如要選擇物件資料的加密方式，請按一下標示為「資料加密」的展開箭頭，然後選取資料加密方法。

  5. 點選「建立」。

設定匯出 Cloud Identity 裝置記錄

  1. 登入Google Cloud 控制台。
  2. 依序前往「Logging」>「Log Router」。
  3. 按一下「建立接收器」。

  4. 提供下列設定參數：

    • 接收器名稱：輸入有意義的名稱，例如 cloud-identity-devices-logs-sink。
    • 接收器目的地：選取「Cloud Storage Storage」，然後輸入值區的 URI，例如 gs://gcp-cloudidentity-devices-logs/。

    • 記錄檔篩選器：

      logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_device"

    • 設定匯出選項：包含所有記錄項目。

  5. 點選「建立」。

設定 Cloud Storage 的權限

  1. 依序前往「IAM 與管理」>「IAM」。
  2. 找到 Cloud Logging 服務帳戶。
  3. 授予值區的 roles/storage.admin。

UDM 對應表

記錄欄位 UDM 對應 邏輯
createTime entity.metadata.creation_timestamp createTime 的值會剖析為時間戳記並對應。
deviceId entity.entity.asset.asset_id 直接對應。
deviceType entity.entity.asset.platform_software.platform 如果原始值為 MAC_OS 或 IOS，則會對應至 MAC。如果原始值相符，則會對應至 WINDOWS、MAC 或 LINUX。否則請設為 UNKNOWN_PLATFORM。
encryptionState entity.entity.asset.attribute.labels.key 值設為 encryptionState。用來當做標籤的一部分。
encryptionState entity.entity.asset.attribute.labels.value 直接對應。用來當做標籤的一部分。
lastSyncTime entity.entity.asset.system_last_update_time lastSyncTime 的值會剖析為時間戳記並對應。
managementState entity.entity.asset.attribute.labels.key 值設為 managementState。用來當做標籤的一部分。
managementState entity.entity.asset.attribute.labels.value 直接對應。用來當做標籤的一部分。
model entity.entity.asset.hardware.model 直接對應。
name entity.entity.asset.product_object_id 系統會擷取 devices/ 後方的部分並進行對應。
name entity.entity.resource.name 直接對應。
osVersion entity.entity.asset.platform_software.platform_version 直接對應。
securityPatchTime entity.entity.asset.attribute.labels.key 值設為 securityPatchTime。用來當做標籤的一部分。
securityPatchTime entity.entity.asset.attribute.labels.value 直接對應。用來當做標籤的一部分。
serialNumber entity.entity.asset.hardware.serial_number 直接對應。從原始記錄的頂層 create_time 欄位複製。值設為 ASSET。值設為 GCP Cloud Identity Devices。值設為 Google Cloud Platform。從原始記錄的頂層 create_time 欄位複製。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。